Estafa con IA a un banco italiano le cuesta casi 100 millones de euros

Qué ocurrió

Según TechRadar, un banco italiano de primer nivel perdió cerca de 100 millones de euros tras una estafa de suplantación de identidad impulsada por inteligencia artificial. El presidente de la entidad creyó estar comunicándose con el abogado de la firma y, en ese contexto, autorizó una transferencia que terminó costando al banco casi esa cifra.

Los detalles disponibles son limitados. No se identifica públicamente la entidad ni se describe con precisión cómo se imitó al abogado. Lo que sí se desprende del relato es que el engaño se produjo a través de mensajería y que el punto decisivo fue una validación humana basada en una identidad aparente, no un fallo técnico de los sistemas.

Por qué importa

El caso ilustra cómo la IA generativa reduce el coste de imitar la forma de hablar y el contexto de una comunicación interna. Cuando un directivo de alto nivel puede ser persuadido de que habla con un asesor de confianza, los controles tecnológicos por sí solos no bastan. La verificación depende de procesos diseñados para resistir la presión de la urgencia y la autoridad percibida.

Para los responsables de experiencia, IA y transformación digital, la lección es operativa. La digitalización de la comunicación, las aprobaciones y los pagos amplía la superficie de ataque, por lo que los flujos de servicio deben incorporar verificación por un canal independiente, umbrales de aprobación y rutas claras para cuestionar una instrucción, incluso cuando procede de un superior.

La perspectiva de Renascence

La mayoría de los comentarios se centrarán en la sofisticación de la IA. Nosotros pondríamos el foco en el diseño del proceso: una orden que llega por un canal conversacional, con sensación de urgencia, es en esencia un sesgo de autoridad explotado a escala.

El problema no es solo que la IA pueda imitar a una persona, sino que muchos procesos siguen premiando la rapidez por encima de la verificación. Una organización que no puede detener una petición inusual no está protegida, por mucho que invierta en herramientas. Diseñe fricción deliberada en las transferencias de alto importe, separe el canal de solicitud del de confirmación y entrene a los directivos para tratar la urgencia como una señal de alarma.